ליווי לתקן ISO 27001

מה כולל ISO 27001 ומה משמעות ההסמכה?

התקן עוסק בניהול אבטחת מידע במסגרת מוגדרת של פעילות ארגונית. הוא מאפשר לארגון לקבוע כיצד לזהות סיכונים למידע, מי מחליט על הטיפול בהם ואיך בודקים שההחלטות מיושמות. חשוב לקרוא תעודה יחד עם תחום ההסמכה: חברה שהסמיכה שירות מסוים אינה מציגה בכך בהכרח כיסוי לכל פעילותה. הסמכה אינה הבטחה שלא יתרחש אירוע סייבר ואינה מחליפה בדיקות טכניות. היא נוגעת למערכת הניהול שנבחנה ולגבולות שהוגדרו. ליווי מקצועי מסייע בהקמה ובהיערכות; החלטת ההסמכה מתקבלת אצל גוף ההסמכה המבקר.

השלב הראשון: תחום המערכת והקשר הארגון

לפני כתיבת נהלים מגדירים איזה שירות, מידע, צוותים, אתרים וספקים נמצאים בתחום מערכת הניהול. בוחנים גם תלות בגורמים שמחוץ לתחום, למשל ספק ענן או צוות תשתיות משותף. תחום צר מדי עלול להשאיר תלות מהותית ללא טיפול; תחום רחב ללא משאבים עלול ליצור תהליך שאינו בר ביצוע. רצוי לשלב הנהלה, תפעול, IT ופיתוח בדיון, ולהסביר כיצד תחום המערכת משרת את היעד העסקי. רשימת דרישות לקוחות ובעלי עניין עוזרת להבדיל בין יעד מסחרי, התחייבות חוזית ודרישה שחלה על הפעילות המסוימת.

הערכת סיכונים ותוכנית טיפול

ממפים נכסים ותהליכים ובונים תרחישי סיכון שמחברים בין מידע, חולשה והשפעה אפשרית. לדוגמה, גישה עודפת למאגר לקוחות יכולה לפגוע בסודיות; כשל בתהליך שחזור עשוי לפגוע בזמינות. אלה דוגמאות לתכנון ולא קביעה על הארגון שלכם. שיטת הדירוג צריכה להיות עקבית ולהסביר הסתברות, השפעה והנחות. לכל סיכון מגדירים בעלים, החלטת טיפול, בקרה ומועד בחינה מחדש. כאשר נשאר סיכון לאחר הטיפול, נדרשת החלטה מוסמכת ומתועדת לגבי קבלתו. ציון בטבלה אינו תחליף להסבר עסקי שמאפשר להנהלה להבין את ההחלטה.

בקרות והצהרת תחולה

בחירת בקרות מתחילה מהסיכונים ומהדרישות הרלוונטיות לארגון. הצהרת התחולה, Statement of Applicability, מתעדת את הבקרות הרלוונטיות, את הנימוקים ואת מצב היישום בהתאם לדרישות התקן. אין לבחור סעיפים רק משום שקל לצרף להם מסמך, וגם אין להניח שכל בקרה מחייבת רכישת מוצר. ניהול הרשאות, טיפול בעזיבת עובד, בדיקת שחזור ותהליך שינוי הם דוגמאות לפעילויות שמחברות אנשים וטכנולוגיה. חשוב להגדיר מה הבקרה עושה, מי מפעיל אותה, באיזו תדירות ואילו ראיות מראות שהופעלה. בחירת הבקרות דורשת שימוש בנוסח התקן העדכני ובהקשר הארגוני.

מסמכים שתומכים בעבודה אמיתית

מדיניות מגדירה כיוון ואחריות; נוהל מסביר איך מבצעים פעולה; ראיה מראה שהיא בוצעה. לדוגמה, מדיניות גישה יכולה להגדיר עקרונות אישור, נוהל יכול לתאר בקשת הרשאה, וקריאת שירות יכולה לתעד את האישור בפועל. מסמך שמבטיח סקירת הרשאות חודשית אינו מועיל אם אין גורם שמבצע אותה. במהלך הליווי בוחנים את הפער בין התהליך הכתוב לבין ההתנהגות הקיימת, ומחליטים אם לשנות את היישום או את ההגדרה. יש לנהל גרסאות, אישורים והפצה כך שהצוותים יעבדו עם נוסח בתוקף ויידעו למי לפנות במקרה חריג.

מבדק פנימי, סקירת הנהלה ושיפור

מערכת הניהול צריכה לכלול דרך לבדוק את עצמה ולהשתפר. מבדק פנימי בוחן התאמה לדרישות ולתהליך שהארגון הגדיר, תוך תשומת לב לאובייקטיביות המבקר. סקירת הנהלה מחברת את תמונת המצב להחלטות על משאבים, סדרי עדיפות ויעדים. אי התאמה צריכה להוביל להבנת הסיבה, לפעולה מתקנת ולבחינת יעילותה. סגירת משימה במערכת אינה מוכיחה ששורש הבעיה טופל. כדאי להגדיר מראש אילו מדדים יראו התקדמות, למשל טיפול בסיכונים פתוחים, תוצאות בדיקות שחזור ויישום סקירות גישה, בהתאם לתחום שהוגדר.

הכנה לביקורת ההסמכה

לקראת הביקורת מארגנים ראיות לפי דרישה ובקרה, מוודאים שהאחראים מכירים את התהליך ובודקים פערים שנותרו. הגוף המבקר קובע את תוכנית הביקורת ואת דרישותיה. אין להתחייב מראש על מעבר ביקורת או על תעודה בתאריך קבוע בלי להבין את בשלות הארגון והזמינות של הגוף המבקר. סימולציה פנימית יכולה לעזור לזהות תשובות שאינן מגובות בראיות ולהבהיר את גבולות המערכת. את ההכנה מבצעים על בסיס פעילות אמיתית; אין ליצור אישורים בדיעבד כאילו בקרה הופעלה בזמן שבו לא התקיימה.

מה משפיע על משך ועלות הליווי?

הגורמים המרכזיים הם תחום ההסמכה, מספר הצוותים והמערכות, בשלות ניהול הסיכונים, מצב התיעוד וזמינות בעלי התפקידים. ארגון שבו קיימים תהליכים עקביים אך חסר תיעוד נמצא במצב שונה מארגון שצריך להקים בקרות בסיסיות. בהצעה רצוי להפריד בין עבודת הייעוץ, משימות היישום של הארגון ושכר גוף ההסמכה. יש להגדיר אבני דרך וקריטריונים למוכנות, ולא להסתפק בהבטחה למסירת נהלים. כך אפשר להבין על מה משלמים, מי אחראי לכל חלק ואילו תלות או עיכובים עשויים לשנות את התוכנית.

ISO 27001 לצד SOC 2 ובדיקות טכניות

אפשר להשתמש בתהליכים ובראיות משותפים כדי לשרת כמה מסגרות, אך אין לראות במסגרות תחליפים אוטומטיים. ISO 27001 עוסק במערכת ניהול; SOC 2 הוא מסלול בחינה ודיווח על בקרות של ארגון שירות, בהתאם להיקף שנקבע. מבדק חדירה מוסיף בחינה טכנית של מערכת ותנאי בדיקה. מיפוי מסודר מאפשר לזהות חפיפה בלי למחוק הבדלים. אם לקוח דורש מסמך מסוים, כדאי לברר את הדרישה המדויקת לפני שבונים תוכנית. העתקת רשימת בקרות ממסגרת אחת לאחרת אינה מספיקה כדי להוכיח התאמה.

מפת עבודה לדוגמה: מהחלטה ועד מוכנות

בשלב ההתחלה מאשרים תחום ובעלי אחריות, מרכזים דרישות וממפים את המצב הקיים. בשלב הבא בונים הערכת סיכונים ותוכנית טיפול, ומתאימים את הבקרות לתהליכים. לאחר מכן הצוותים מפעילים את הבקרות ואוספים ראיות מהפעילות השוטפת. לקראת הביקורת בוחנים את המוכנות, את המבדק הפנימי ואת החלטות ההנהלה. הסדר הזה הוא מסגרת עבודה לדוגמה ולא לוח זמנים מחייב. חלק מהשלבים יכולים להתקדם במקביל, אך אין לקצר פעילות שנדרשת כדי להוכיח יישום.

דוגמה: מחזור החיים של הרשאה

נניח שהמערכת כוללת מידע רגיש וצוותים בעלי תפקידים שונים. תהליך גישה יכול להתחיל בבקשה שמציינת צורך, להמשיך באישור של בעל המידע ולהסתיים בהקצאת הרשאה מוגבלת. כשהתפקיד משתנה או העבודה מסתיימת, בוחנים הסרה. בסקירה תקופתית משווים בין הזכויות לצורך הנוכחי. הראיות צריכות לחבר בין השלבים ולתאר חריגים. הדוגמה מדגימה כיצד בקרה תפעולית משתלבת במערכת ניהול; התדירות, הטכנולוגיה והסמכות נקבעות לפי הסיכון והפעילות.

טעויות שכדאי לזהות מוקדם

העתקת מסמכים ללא התאמה, הגדרת תחום עמום והתחלת איסוף ראיות סמוך לביקורת מקשות על התהליך. גם מיפוי סיכונים ללא בעלים או ללא החלטות טיפול משאיר את המערכת ברמת הצהרה. טעות נוספת היא להציג כל פעולה כהושלמה בלי לציין תלות או אימות. עדיף לבנות תמונה כנה עם פערים ותוכנית ברורה, ולתת להנהלה להחליט על משאבים. כשמזהים דרישה שאינה מובנת, בודקים אותה בנוסח התקן ומבררים את ההקשר לפני שמרחיבים את העבודה.

מה להכין לשיחת תיחום?

כדאי להכין תיאור של השירותים והמערכות המרכזיות, אנשי קשר, דרישות לקוחות ומועדי יעד. מסמכים וממצאים קודמים יכולים לסייע, אך אין צורך לשלוח סיסמאות, מידע לקוחות או פרטי מערכת רגישים בפנייה הראשונית. לאחר הגדרת ההיקף מסכימים על ערוצי העברה והרשאות לפי צורך. חשוב לזהות מי מאשר החלטות ומי מסוגל לבצע שינויים, כדי שתוכנית העבודה תתאים לזמינות ולמשאבים של הארגון.

מהתוצר לתוכנית שאפשר לתחזק

לכל פעולה מגדירים אחראי, תלות, מועד ותנאי סגירה. מבחינים בין מסמך שנכתב לבין שינוי שהוטמע ונבדק. אם אי אפשר להשלים פעולה בזמן, מתעדים את הסיבה ואת ההחלטה לגבי הסיכון שנותר. בישיבות מעקב בוחנים גם שינוי בפעילות, ולא רק אחוז השלמת משימות. בסיום הליווי מסדירים מקום לשמירת התוצרים, העברת ידע והמשך עדכון. המטרה היא שהארגון יוכל להשתמש בהחלטות גם לאחר סיום הפרויקט.

תחומים משלימים

• סקר סיכוני סייבר
• ביקורת אבטחת מידע
• ליווי SOC 2
• יועץ אבטחת מידע – תפקיד והיקף

שאלות נפוצות

נגדיר יחד תוכנית שמתאימה לארגון

לתמונה הרחבה עברו אל ייעוץ אבטחת מידע של ExploiX. צרו קשר לשיחת תיחום עם תיאור קצר של המטרה והפעילות.